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(57) Abstract: The invention relates to a method for increasing the immunity to interference of an integrated switching circuit (16). 
According to said method, error signals are transmitted between at least one microprocessor chip or multiple microcontroller (1) and 
at least one additional component (2) in the form of one or more such error signals. A minimum pulse length, which is independent 
of the clock pulse frequency of the microprocessor or microprocessors, is defined for said transmission. A signal on an error line 
with a specific pulse length that is in excess of said minimum length is interpreted as an error. The invention also relates to an 
integrated switching circuit, which is configured in particular to carry out the aforementioned method and comprises at least one 
microprocessor chip or multiple microcontroller (1) and at least one additional component (2), which contains in particular separate 
power components and one or more pulse spreading units and/or signal delay units for the sequential emission of error pulses (6, 6') 
via at least one error line (3, 4) 

(57) Zusammenfassung: Beschrieben ist ein Verfahren zur Verbesserung der Storfestigkeit eines integrierten Schaltkreises (16), 
bei dem Fehlersignale zwischen mindestens einem Mikroprozes sore hip oder Mehrfachprozessor-uC (1) und mindestens einem wei- 
teren Baustein (2) in Form von einem oder mehreren Fehlersignalen ubertragen werden, bei dem fur die Ubertragung eine von der 
Taktfrequenz 

[Fortsetzung aufder nachsten Seite J 
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des Mikroprozessors oder der Mikroprozessoren unabhangige Mindestimpulslange definiert wird, ab der ein Signal auf einer Fehler- 
leitung mit einer bestimmten Impulslange als ein Fehler interpretiert wird. Die Erfindung betrifft auch einen integrierten Schaltkreis, 
der insbesondere derart ausgefuhrt ist, dass das obige Verfahren ausgefuhrt wird, umfassend mindestens einen Mikroprozessorchip 
oder Mehrfachprozessor- Microcontroller (1) und mindestens einen weiteren Baustein (2), der insbesondere separat angeordnete 
Leistungsbauelemente umfasst, und einen oder mehrere Impulsverbreiterungseinrichtungen und/oder Signalverzogerungseinrich- 
tungen zum Nacheinanderausgeben von Fehlerimpulsen (6, 6') uber mindestens eine Fehlerleitung (3,4) 
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Verfahren und integrierter Schaltkreis zur Erhdhung der 
Storfestigkeit 

Die Erfindung bezieht sich auf integrierte Schaltkreise, 
insbesondere in elektronischen Steuergeraten, die bevorzugt 
Bestandteile von Kraf tf ahrzeugsteuergeraten sind. Insbeson- 
dere handelt es sich bei den Steuergeraten um Steuergerate 
fur Kraf tf ahrzeugbremssysteme . Solche Steuergerate sind un- 
ter anderem zur Durchfuhrung von sicherheitskritischen Rege- 
lungen geeignet. Die Kraftf ahrzeugsteuergerate beinhalten 
bevorzugt Regelungsprogramme, wie ABS, ASR, ESP und derglei- 
chen. Auf Grund des hohen Sicherheitsbedarf s umfassen die 
Regelungssysteme, welche durch die integrierten Schaltkreise 
gebildet sind, Sicherheitsschaltkreise, welche einen Ausfall 
oder einen Fehler erkennen helfen und geeignete Maflnahmen, 
wie Abschaltung des gesamten Systems oder einen Notbetrieb 
durch teilweise den Betrieb des gesteuerten Systems erhal- 
tende Mafinahmen einleiten. 

Reglungssysteme mit integrierten Schaltkreisen, die Mikro- 
prozessoren enthalten, sind fur die vorstehend geschilderten 
Aufgaben allgemein ublich. Um Fehlf unktionen vorzubeugen 
bzw. diese zu erkennen ist es sinnvoll, mindestens zwei Pro- 
zessorkerne vorzusehen. Drei oder mehrere Prozessorkerne 
wurden zwar die Sicherheit weiter erhohen, jedoch ist dies 
aus Kostengrunden in Verbindung mit den sehr hohen im Be- 
reich der Kfz-Technik iiblichen Stuckzahlen nicht immer er- 
wiinscht. Es besteht daher der Bedarf an kostengunstigen 
Schaltkreisen mit hohem Sicherheitsniveau. 

Aulierordentlich bewahrt hat sich zum Beispiel ein Konzept 
eines Regelungssystems, welches aus zwei integrierten 
Schaltkreisen besteht, die in separaten Chipgehausen unter- 
gebracht sind- Hierdurch ergibt sich der Vorteil einer raum- 
lichen Trennung von Leistungsbauelementen (PowerFETs etc.) 
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und hochintegrierten Mikroprozessorbauelementen (pC, Spei- 
cher usw. ) . 

Die f ehlerrelevante Kommunikation erfolgt im obigen Beispiel 
bevorzugt uber zwei Fehlerleitungen ERR und ERR__N. 

Die Erfindung geht von einem obigen System aus und verbes- 
sert dieses, urn die Storf estigkeit weiter zu verbessern. 

Diese Aufgabe wird erf indungsgemafi geldst durch ein Verfah- 
ren gemaft den Anspriichen 1 und 2 sowie einen integrierten 
Schaltkreis gemafi Anspruch 15. 

Das Regelungs system kann aufierdem einen oder mehrere Uberwa- 
chungsschaltkreise besitzen, die insbesondere auf einem oder 
mehreren weiteren separaten Chips untergebracht sind (Watch- 
dog) . 

Im bekannten elektronischen Regler sind Prozessorchip und 
Leistungschip bevorzugt uber die Leitungen ERR und ERR_N~ 
verbunden. Dabei muss der Leistungschip in der Lage sein, 
Pulse vom Prozessorchip, die auf ERR bzw. ERR_N iibertragen 
werden, mit einer minimalen Pulsbreite von beispielsweise 
T min = 30 ns zu erkennen. Es ist moglich, dass externe elekt- 
rostatische, magnetische oder elektromagnetische Storungen 
(z. B. statische Aufladungen, ESD) in das System eingreifen 
und unerwlinschte Auswirkungen haben. 

Erf indungsgemafi werden Verfahren sowie integrierte Schalt- 
kreise gemafi den unabhangigen Patentanspriichen beschrieben, 
um die Storf estigkeit, insbesondere die Storf estigkeit der 
Signale ERR und ERR_N, zu erhohen. Dies fuhrt zur einer er- 
hohten Systemverf ugbarkeit . 
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Nach einem Grundgedanken der Erfindung werden insbesondere 
folgende Mafinahinen, einzeln Oder in beliebiger Kombination, 
durchgef uhrt : 

• Deutliche Verlangerung der minirnalen Pulsbreite T M i n 

• Filterung der Signale ERR und ERR__N in dem Leistungs- 
chip 

• Neudef inition des Watchdog Zeitfensters in dem Leis- 
tungschip mit der Einfuhrung der Verzogerungszeit T wind0 w- 

Delay • 

• Einfuhrung des Blocks ^Toggle und Delay,, in der Prozes- 
sorchip um die minimale Pulsbreite T M i n zu garantieren. 

Hierdurch ergeben sich folgende Vorteile: 

• Durch die Filterung der Leistungschip-Eingangssignale 
ERR und ERR_N wird die Storf estigkeit des Systems deut- 
lich verbessert. Besonders der Einfluss von elekrotsta- 
tischen, magnetischen oder elektromagnetischen Storun- 
gen wird erheblich verringert, da diese in der Regel 
von kurzer Dauer sind und wegen der neuen, grofieren 
Mindestimpulslange daher nicht irrtumlich als Fehler- 
signale interpretiert werden konnen. 

• Durch das erf indungsgemafie Verfahren w4-rd erreicht, 
dass es zu keiner Einschrankung der Fehleriiberwachung 
des Prozessorchips durch den Leistungschip gegeniiber 
der bisherigen, ungef ilterten Losung, kommt. Das heifit, 
es gehen keine Fehlerimpulse verloren. 

Der integrierte Schaltkreis umfasst mindestens einen Mik- 
roprozessorchip oder Mehrf achprozessor-Microcontroller und 
mindestens einen weiteren Baustein, der insbesondere ein 
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integrierter Baustein ist. Der integrierte Baustein um- 
fasst vorzugsweise Leistungsbauelemente und ist daher ins- 
besondere ein mixed-signal-Baustein . 

Problerne ergeben sich auf Grund der im allgemeinen erheb- 
lich hoheren Taktfrequenz der Mikroprozessorbausteine ge- 
genuber den mixed-signal-Bausteinen. Hierdurch konnen auf- 
einanderfolgende Fehlerereignisse so dicht auf einanderf ol- 
gend sein, dass diese nicht mehr ohne weiteres von sonsti- 
gen Storungen unterschieden werden konnen. 

Alternativ kann die Erfindung auch insbesondere auf fol- 
gende Weise durchgefuhrt werden: 

• Die digitale Filterung kann durch eine analoge Filte- 
rung ersetzt werden. 

• Arbeitet der Microcontroller (Prozessorchip) viel lang- 
samer als der Mixed Signal Chip (Leistungschip) , dann 
kann ohne den ^Toggle & Delays-Block im Mikrocontroller 
eine digitale Filterung durchgefuhrt werden. 

Weitere bevorzugte Ausf uhrungsf ormen ergeben sich aus den 
Unteransprtichen und der nachf olgenden Beschreibung der Figu- 
ren. 

Nachfolgend wird die Erfindung an Hand von Beispielen naher 
erlautert . 

Es zeigen 

Fig. 1 einen Systemuberblick der zusammengeschalteten 
Chips, 
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Fig. 2 eine Darstellung der Filtercharakteristik im Zu- 
sanunenhang mit den Fehlerleitungen und 

Fig. 3 ein Diagranun zur Darstellung des Zeitverhaltens 
der Signale (Timingdiagramm) . 

In Fig, 1 ist ein Systemliberblick gegeben: 

Im elektronischen Regler eines Kraftf ahrzeugbrems systems ist 
der Mikrocontroller 1 (Prozessorchip) mit dem Mixed-Signal- 
IC 2 (Leistungschip) liber die Fehlerleitungen 3 und 4 sowie 
liber das SPI-Interf ace 5 verbunden. 

Der Mikrocontroller 1 besteht aus zwei unabhangigen Prozes- 
sorkernen (Core A und Core B) , deren Operationen kontinuier- 
lich durch die Vergleichsblocke Compare A und Compare B 
hardwaremafiig liberprlift werden. Wird bei dieser Vergleichs- 
operation ein Fehler erkannt, so muss diese Fehlerinf ormati- 
on liber die Leitungen 3 ERR und 4 ERR__N an Leistungschip 2 
sicher libertragen werden. 

Nach dem Verfahren wird ein Fehler bevorzugt dadurch signa- 
lisiert, dass der Pegel auf einer Fehlerleitung wechselt 
(z.B. von logisch "High" auf "Low"). 

Insbesondere ist vorgesehen, dass bei jedem Fehler jede der 
Leitungen 3 ERR und 4 ERR_N einmal den Signalpegel wechselt. 
Die Pegel auf ERR und ERR_N sind vorzugsweise gegenlaufig 
oder komplementar . 

Das Mixed Signal IC 2 arbeitet in der Regel und bevorzugt 
erheblich langsamer als der Mikrocontroller. Aus diesem 
Grund muss sichergestellt werden, dass die minimale Puls- 
breite T min auf den Signalleitungen ERR und ERR_N nicht un- 
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terschritten wird. Sonst ist es moglich, dass Baustein 2 
einen Fehler "ubersieht". 

Diese beiden Aufgaben werden von den Blocken „Toggle & De- 
lay,, 6 und 6' erfullt. Liegen in dem Prozessorchip mehrere 
Fehler vor, so werden die Pegelwechsel auf ERR und ERR_N 
verzogert ("Delay"), urn die minimale Pulsbreite T min zu ga- 
rantieren. 

Das Mixed Signal IC filtert jeweils die ERR/ERR_N Signale 
mit jeweils einer Filtereinrichtung 7, 7". Diese Filterung 
erfolgt insbesondere digital. Dabei ist bevorzugt eine Fil- 
terzeitkonstante T F iiter vorgesehen. Die minimale Pulsbreite 
T min ist bevorzugt viel grofler, als der interne Systemtakt 
des Leistungs chips 2. 

Durch die Filterung der Signale ERR/ ERR_N werden vorteil- 
hafterweise auftere Storungen (elektrostatische, magnetische 
oder elektromagnetische Storungen) , unterdriickt und dadurch 
die Zuverlassigkeit und Verf ugbarkeit des Systems erhoht. 

In den Blocken „Level Compare,, 8, 8' wird redundant iiber- 
priift, ob beide Fehlersignale gegenlaufige Pegel haben. 
Gleiche Pegel auf ERR und ERR_N fuhren zu einem Fehler und 
werden auBerhalb einer Prtifroutine auf den Signalen „Error 
Detected,, 9, 9' ausgegeben. Zusatzlich sucht der Block „Pul- 
se Detect,, 10, 10 ' nach Flanken auf den gefilterten 
ERR/ ERR_N Signalen. Die Signalausgange von Block "Level- 
Compare" 8 und "Puls-Detect" 10 sind durch einen ODER- 
Baustein logisch verknupft und bilden den Ausgang "ERR De- 
tected A" 9. Entsprechendes gilt fur den redundanten Pfad 
11' . 
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Im beispielgemaBen elektronischen Regler wird in regelmaBi- 
gen Abstanden Ti j0 o P eine Watchdog-Priif routine mit kiinstlicher 
Fehleriibertragung iiber die SPI-Schnittstelle 5 von Prozes- 
sorchip 1 zu Leistungschip 2 signalisiert . Wahrend dieser 
Priifroutine wird die Fehlererkennung im Mikrocontroller und 
die Verbindungen iiber die Error-Leitungen zwischen Leis- 
tungschip und Prozessorchip getestet. Im Mikrocontroller 
wird iiber per Software angesteuerte Teststrukturen ein Feh- 
ler erzeugt, was am Ausgang der Blocke ^Toggle und Delay,, zu 
einem einmaligen Pegelwechsel auf den ERR/ERRN- Leitungen 
f iihrt - 

Wahrend die Prtifroutine ("Watchdogubertragung") aktiv ist, 
definiert Leistungschip 1 iiber Bus 5 ein Zeitfenster in 
Block 50. Innerhalb des Zeitfensters wird als gultiges Feh- 
lersignal zum Testen insbesondere ein Signal angesehen, wel- 
ches aus genau einem Flankenwechsel auf der gefilterten ERR 
und der ERR__N-Leitung besteht. Ein Fehler wird durch den 
Block "Puis Detect" 10 (bzw. 10' im redundanten Zweig B) 
erkannt, wenn innerhalb des Zeitf enstefs keine oder mehr als 
eine Flanke auf den gefilterten Signalen ERR-Filter oder 
ERR__N-Filter auftreten (siehe Timing Diagramm in Fig. 2) . 
Die Pegeliiberwachung 8 ist wahrend der Watchdogubertragung 
mittels Leitung 18 (18' im redundanten Zweig B) ausgeschal- 
tet f da der Pegelwechsel auf ERR und ERR_N durch unter- 
schiedliche Signallauf zeiten nicht absolut synchron erfolgen 
kann. 

Am Ende des durch Block 50 definierten Zeitfensters mussen 
die Signale ERR/ERR_N wieder gegenlaufige Pegel besitzen, da 
nun die Pegeliiberwachung der gefilterten Signale wieder ein- 
setzt . 
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Kommt es aufterhalb des Watchdog-Zeitf ensters zu einern Pegel- 
wechsel auf den gefilterten Signalen ERR oder ERR_N, so wird 
dies durch den Block "Puis Detect" 10 direkt als Fehler er- 
kannt und auf Leitung „Err Detected,, 9 ausgegeben. Um diese 
Funktionalitat herbeizuf iihren, ist Block 50 mit Block 10 
uber eine Steuerleitung verbunden. 

Block "Level-Compare" 8 ist ebenfalls redundant vorgesehen 
(siehe Block 8'). Durch Block 8 wird gepruft, ob die Fehler- 
signale der komplementaren Fehlerleitungen beide vorhanden 
sind. Ist dies nicht der Fall, zum Beispiel wenn eine der 
Fehlerleitungen defekt ist, wird ein Fehler ausgegeben. 

In Fig. 2 ist gezeigt, wie eine Implementierung der ERR- 
Filter 7 bzw. 7' erfolgen kann: 

Wie in Fig. 1 zu erkennen, ist in Leistungschip 2 die Feh- 
lererkennung fur die Leitungen 3 ERR und 4 ERR_N grundsatz- 
lich redundant ausgelegt. Daher ist bevorzugt fur jeden 
Rechnerkern eine eigene Fehlererkennungsschaltung 11 und 11' 
mit jeweils eigener Fehlerleitung 9 "ERR-Detected A" und 9" 
"Err-Detected B" vorgesehen, Bevorzugt ist zur Senkung der 
Herstellungskosten in Schaltung 11 der Filter 7 nur fur eine 
der vorhandenen Fehlerleitungen 3 und 4 vorhanden. In Schal- 
tung 11' ist ebenfalls lediglich eine Filterschaltung 7' 
vorhanden. In beiden Schaltungen 11 und 11' wird der Ausgang 
des Filters 7 bzw. 7' mit den Verbindungspunkten 12 und 12' 
liber Kreuzleitungen 13 und 13' den Eingangen der "Level- 
Compare" -Schaltungen 8 und 8' neben den Fehlersignalen 3 und 
4 eingangsseitig zugefuhrt. Hierzu wird also jeweils das 
Ergebnis der Filteroperation in den Block ERR-Check B 11' 
zuruckgekoppelt . Umgekehrt gilt das gleiche fur das ERR_N 
Filter, dessen Ergebnis in den Block ERR-Check A 11 zuruck- 
gekoppelt wird. Die Ruckkopplung wird jeweils fur den Test 
auf invertierte Pegel verwendet . 
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ERR-Filter 7 ist bevorzugt als digitaler Vorwarts/Ruck- 
wartszahler ausgefiihrt, der in Abhangigkeit vom Eingangssig- 
nals seinen Zahlerstand andert. Liegt am Eingang des Filters 
ein Signal mit dem digitalen Low-Pegel an, dann wird der 
Zahlerstand um Eins vermindert. Liegt ein High-Pegel an, 
dann wird der Zahlerstand um Eins erhoht. Die moglichen Zah- 
lerstande sind auf den Bereich von 0 bis Z Max count begrenzt. In 
Fig. 2 ist ein moglicher Signalverlauf dargestellt. Entspre- 
chendes gilt auch fur den Filter 7'. 

Erreicht der Zahlerstand von Filter 7 den Wert Null, dann 
geht der Ausgang des Filters an Punkt 12 auf Low. Erreicht 
der Zahlerstand den Wert ZMaxcount/ dann geht der Ausgang des 
Filters auf High. Zusammen mit der verwendeten Taktfrequenz 
fLeistungschip ergibt sich eine Filterzeit von 

7 1 

•y _ ^MaxCount t-» _ 

1 Filter — 7 1 PCU ~ - ' 

T PCU T PCU 

wobei F C pu die Taktfrequenz des Mikrorechners ist. 
Mit dieser Implementierung werden alle Storungen, die kurzer 
sind als T Fi i t er und die durch die Abtastung erfasst werden, 
unterdruckt. Der Zahlerstand des Filters ist in Fig. 2 in 
Abhangigkeit vom Eingang des Filters dargestellt. 

Fig. 3 stellt ein Timing-Diagramm dar, welches die logischen 
Pegel der vorhandenen Steuerleitungen zeitabhangig dar- 
stellt. An Hand dieser Figur wird nun eine mogliche Defini- 
tion eines Watchdog-Zeitf ensters in Block 50 erlautert. Das 
Watchdog Zeitfenster in Block "Watchdog Window" 50 wird vom 
Prozessorchip 1 durch das SPI-Interf ace 5 bestimmt. Prozes- 
sorchip 1 wahlt den Watchdogtransf er durch die Chipselect- 
signale CSVCMSJ = low und CSWD_N = high aus . 
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Das Watchdog- Zeitf ens ter 17 beginnt nach der ersten steigen- 
den Flanke 14 auf dem Taktsignal der SPI-Ubertrag SPICLK. 
Die Verzogerung TSync beinhaltet Signallauf zeiten sowie die 
Synchronisationszeit zwischen dem externen Takt des SPI- 
Interface und dem internen Leistungschip Systemtakt. 

Das Watchdog-Zeitfenster 17 endet an sich nach der steigen- 
den Flanke 15 von CSWD_N. Es muss jedoch sichergestellt wer- 
den, dass die Flanken der gefilterten Signale ERR bzw. ERR_N 
noch innerhalb des aktiven Watchdog-Zeitf ensters erkannt 
werden. Aus diesem Grund schliefit sich an den Zeitpunkt von 
Flanke 15 eine Verzogerungszeit T windowDe iay an, in der noch die 
erwartete Flanke verarbeitet wird. Es gilt dabei die folgen- 
de Bedingung: 

TwindowDeiay ^ Tauter 

Diese Bedingung erfullt die Anf orderungen jedoch nur in ei- 
nem storungsf reien System. Berucksichtigt man jedoch den 
Effekt, dass Storungen auf dem Eingangssignal eine zusatzli- 
che Verzogerung hervorrufen, dann erhalt man das robusteste 
und aufwandsgunstigste System wenn 

TwindowDeiay ~ 2 • T F ii te rr 

da im gestorten System die vorgestellte Filterverzogerung 
nie grower werden kann, als die zweifache Filterzeit. 

Dabei sind folgende Anforderung an die Signalverzogerung 
innerhalb des Prozessorchips 1 zu stellen: 

Aufierhalb der Zeit f wahrend die Fehlerpriif routine lauft 
(Watchdogtransfer) , fiihrt ein einmaliges Fehlerereignis in- 
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nerhalb des Prozessorchips 1 immer zu einer Fehlererkennung 
innerhalb des Leistungschips 2. In diesem Fall muss Prozes- 
sorchip 1 lediglich garantieren, dass die minirnale Pulslange 
T Min auf den Signalen ERR bzw. ERR_N nicht unterschritten 
wird. 

Wahrend einer Fehlerpriif routine (Watchdogtransf er) , in der 
iiber Bus 5 ein Zeifenster definiert wird, muss garantiert 
werden f dass neben dem Fehler, der durch die Testprozedur 
hervorgeruf en wird, auch jeder zusatzliche Fehler sicher von 
Lei stungs chip 2 erkannt wird. In diesem Fall muss Prozessor- 
chip 1 die Pegel auf den Fehlerleitungen ERR/ERR_N fur den 
ersten auftretenden Fehler einmal andern. Tritt wahrend der 
Zeit T Miri ein weiterer Fehler in Prozessorchip 1 auf, dann 
muss dieser Fehler bis zum Ablauf der Zeit T M i n verzogert 
werden. Dann muss Prozessorchip 1 erneut die Signalpegel auf 
ERR/ERR_N andern. Dies erfolgt duch die Einrichtung 6 bzw. 
6' ("Toggle und Delay") . In diesem Fall wird in Leistungs- 
chip 2 entweder der zweifache Pegelwechsel wahrend des 
Watchdogzeitf ensters 17 erkannt, Oder ein Pegelwechsel be- 
findet sich aufierhalb des Zeitf ensters 17. In beiden Fallen 
erkennt Leistungschip 2 den zusatzlichen Fehler. 

Ein zweimaliger Pegelwechsel im Abstand von T M i n reicht damit 
in alien Fallen aus, urn einen Fehler in der Leistungschip zu 
erkennen. Der Block ^Toggle & Delay „ 6 bzw. 6' muss damit 
neben dem ersten auftretenden Fehler nur einen weiteren Feh- 
ler um T Min verzogert an die Leistungschip ubertragen. 
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Paten tanspruche 

1. Verfahren zur Verbesserung der Storf estigkeit eines in- 
tegrierten Schaltkreises (16) , bei dem Fehlersignale 
zwischen mindestens einem Mikroprozessorchip oder Mehr- 
f achprozessor-pC (1) und mindestens einem weiteren Bau- 
stein (2) in Form von einem oder mehreren Fehlersignalen 
ubertragen werden, dadurch gekennzeichnet, dass fur die 
Ubertragung eine von der Taktfrequenz des Mikroprozes- 
sors oder der Mikroprozessoren unabhangige Mindestim- 
pulslange definiert wird, ab der ein Signal auf einer 
Fehlerleitung mit einer bestimmten Impulslange als ein 
Fehler interpretiert wird. 

2. Verfahren zur Verbesserung der Storf estigkeit eines in- 
tegrierten Schaltkreises (16), bei dem Fehlersignale 
zwischen mindestens einem Mikroprozessormodul oder Mehr- 
f achprozessor-Modul und mindestens einem weiteren Ge- 
mischtsignal-Modul in Form von einem oder mehreren Feh- 
lersignalen ubertragen werden, wobei die besagten Module 
auf einem Chip oder in einem Chip-Gehause integriert 
sind, dadurch gekennzeichnet, dass fur die Ubertragung 
eine von der Taktfrequenz des Mikroprozessors oder der 
Mikroprozessoren unabhangige Mindestimpulslange defi- 
niert wird, ab der ein Signal auf einer Fehlerleitung 
mit einer bestimmten Impulslange als ein Fehler inter- 
pretiert wird. 

3- Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich- 
net, dass im Falle einer Fehlerfolge mit einem Fehlerab- 
stand, der kleiner als die Mindestimpulslange ist, die 
Zeit der iiber die mindestens eine Fehlerleitung ausgege- 
benen Fehlerfolge gegenuber der tatsachlichen Fehlerfol- 
gezeit zeitlich gedehnt wird. 
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4. Verfahren nach mindestens einem der Anspruche 1 bis 3, 
dadurch gekennzeichnet, dass das/die Fehlersignal/e in 
einem Chip, welcher das/die Fehlersignal/e eines anderen 
Chips oder Bausteins empfangt, genau dann nicht verar- 
beitet werden, wenn die Signale eine Mindestdauer unter- 
schreiten und genau dann verarbeitet werden, wenn die 
Mindestdauer erreicht, oder iiberschritten wird, wobei 
hierzu die Signale insbesondere durch zumindest ein Fil- 
ter, insbesondere ein Tiefpafif ilter (7, 7'), geleitet 
werden . 



5. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet:, dass mindestens ein 
Watchdog-Zeitf enster (17) im integrierten Schaltkreis 
oder im weiteren Baustein (2) vorgegeben wird, innerhalb 
dem mindestens ein kunstlich erzeugtes Fehlersignal oder 
Fehlersignalmuster erzeugt und uberpruft wird, so dass 
die Fehlererkennungsschaltkreise selbst uberpriifbar wer- 
den - 



6- Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet:, dass das Watchdog- 
Zeitf enster (17) eine Verzogerungszeit T windowDe i a y hat, wo- 
bei bis zum Ablauf der Verzogerungszeit T windowDe i ay das 
Zeitfenster, in dem mindestens ein Fehlersignal oder 
Fehlersignalmuster erwartet wird, weiter geoffnet 
bleibt . 



7. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass 
die Verzogerungszeit T windowD eiay groiier ist als die Filter- 
zeit T F iiter des oder der Filter (7, 7'), welche/s das o- 
der die Fehlersignale der mindestens einen Fehlerleitung 
(3, 3') verarbeitet. 
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8. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass innerhalb des feh- 
lersignalsendenden Chips (1) die Fehlersignale verbrei- 
tert werden und/oder verzogert nacheinander uber die 
Fehlerleitung/-en ausgegeben werden. 

9. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass mit Hilfe der 
Schnittstelle (5) ein Test der mindestens einen Fehler- 
leitung (3,4) durchgefuhrt wird. 

10. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet:, dass die Fehlersignale 
durch Filter (7,7') mit einer bestimmten Filterzeit T F ii_ 
ter gefiltert werden . 

11. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet:, dass das Zeifenster 
TwindowDelay i- m weiteren Baustein (2) iiber die mit Chip (1) 
verbundenen Schnittstelle (5) festgelegt wird. 

12. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet:, dass die Bedingung Twin- 
dowDelay grower als Filterzeit T F ii te r erfiillt ist. 

13. Verfahren nach mindestens einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass die Verzogerung 
TwindowDelay i n etwa der zweifachen Zeit T F ii ter entspricht. 

14. Verfahren nach mindestens einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet:, dass die Pulsbreite T Min 
auf einen Wert von mindestens etwa 30 ns festgelegt 
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wird. 

15. Integrierter Schaltkreis, insbesondere derart, dass das 
obige Verfahren ausgefuhrt wird, umfassend 

- mindestens einen Mikroprozessorchip oder Mehrfachpro- 
zessor-Microcontroller (1) oder Mikroprozessormodul und 
mindestens einen weiteren separaten Baustein (2) oder 
ein im gleichen Baustein integriertes Gemischtsignalmo- 
dul, der/welches insbesondere separat angeordnete Leis- 
tungsbauelemente umfasst, und 

- einen oder mehrere Impulsverbreiterungseinrichtungen 
und/oder Signalverzogerungseinrichtungen zum Nacheinan- 
derausgeben von Fehlerimpulsen (6, 6') uber mindestens 
eine Fehlerleitung ( 3 , 4 ) 

16. Integrierter Schaltkreis nach Anspruch 15, gekennzeich- 
net durch 

einen oder mehrere Filter (7, 7') zur Filterung der durch 
die Fehlerleitungen (3,4) ubertragenenen Fehlersignale . 

17. Integrierter Schaltkreis, insbesondere derart, dass das 
Verfahren gemaft einem Anspruche 1 bis 14 ausgefuhrt 
wird, umfassend 

- mindestens einen Mikroprozessorchip oder Mehrfachpro- 
zessor-Microcontroller (1) und mindestens einen weiteren 
Baustein (2), der insbesondere separat angeordnete Leis- 
tungsbauelemente umfasst und 

- einen oder mehrere Filter (7,7') zur Filterung von 
Fehlerimpulsen (6, 6') uber mindestens eine Fehlerlei- 
tung (3,4) . 

18. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisanspriache, dadurch gekennzeichnet, 
dass das Filter (7,7') als digitaler Vorwarts/Ruck- 
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wartszahler ausgefiihrt ist. 

19. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisanspruche, dadurch gekennzeichnet, 
dass die Chips oder Bausteine mittels mindestens einern 
Bus (5) und mindestens einer Fehlerleitung (3,4) verbun- 
den sind. 

20. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisanspruche, dadurch gekennzeichnet, 
dass dieser hardwaremaftige Teststrukturen umfasst, mit 
deren Hilfe iiber eine Schnittstelle (5) ein Test der 
mindestens einen Fehlerleitung (3,4) durchgefuhrt werden 
kann. 

21. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisanspruche, dadurch gekennzeichnet:, 
dass der Mikroprozessorchip (1) oder der weitere Bau- 
stein zumindest einen Watchdog-Window-Schaltkreis (50) 
umfasst . 

22. Integrierter Schaltkreis nach Anspruch 21, dadurch ge- 
kennzeichnet:, dass der Watchdog-Window-Schaltkreis (50) 
ein Watchdog-Zeitfenster (17) vorgibt und das Watchdog- 
Zeitfenster (17) eine Verzogerungszeit T wind0 wDeiay hat, wo- 
bei bis zum Ablauf der Verzogerungszeit TWndowDeiay d^Ls 
Zeitfenster, in dem mindestens ein Fehlersignal oder 
Fehlersignalmuster erwartet wird, weiter geoffnet 
bleibt . 

23. Integrierter Schaltkreis, insbesondere derart, dass das 
Verfahren gemaii einem Anspruche 1 bis 14 ausgefiihrt 
wird, umfassend 

- mindestens einen Mikroprozessorchip oder Mehrfachpro- 
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zessor-Microcontroller (1) und mindestens einen weiteren 
Baustein (2), der insbesondere separat angeordnete Leis- 
tungsbauelemente umfasst und 

- zumindest einen Watchdog-Window-Schaltkreis (50) , der 
ein Watchdog-Zeitfenster (17) vorgibt und das Watchdog- 
Zeitfenster (17) eine Verzogerungszeit T W i nd0 wDeiay hat, wo- 
bei bis zum Ablauf der Verzogerungszeit T windoW Dei ay das 
Zeitfenster, in dem mindestens ein Fehlersignal oder 
Fehlersignalmuster erwartet wird, weiter geoffnet 
bleibt . 

24. Integrierter Schaltkreis nach mindestens einem der vor- 
herigen Schaltkreisanspruche, dadurch gekennzeichnet, 
dass die Verzogerungszeit T windowDe i ay grofier ist als die 
Filterzeit T F ii ter des oder der Filter (7, 7'), welche/s 
das oder die Fehlersignale der mindestens einen Fehler- 
leitung (3, 3') verarbeitet. 
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